【中文摘要】人工智能（AI）技术在全球发展的不均衡性推动了AI服务的跨境提供。跨境AI服务具有明显的基础性和工具性特征，成为新兴的服务贸易类别，但同时诱发了新的国家安全风险、公平竞争风险和消费者隐私风险，构成贸易开展的潜在障碍。中国对跨境AI服务的法律规制存在准入监管不足、规制工具缺漏、体系化不够等局限，面临安全与发展、国内规制与国际协调的多重挑战。回应性治理强调以风险为本的“区别”与合作监管，是技术风险社会治理的重要方法论。以回应性治理为方法论基础，中国应构建AI服务安全风险分类分级规则，完善境外AI服务准入制度，强化AI服务全链条安全义务分配与动态监测等持续性监管措施，实现对跨境AI服务安全的系统化治理。
【全文】
引言
AI服务是指使用AI技术提供自动化和智能化业务解决方案的服务类别。以证券算法交易为例，AI服务平台由券商维护和运营，不同的AI服务提供商将算法和模型以可插拔模块的形式嵌入到平台中，客户可以根据算法策略、交易历史回测、模拟盘验证等自主选择合适的AI服务。由于不同国家AI技术发展程度的差异以及AI服务边际效益递增而边际成本递减的特性，跨境AI服务已成为新的服务贸易类型。以自动驾驶服务为例，虽仍需等待监管机构的批准，但特斯拉已计划尽快在中国和欧洲推出完全自动驾驶系统，这标志着特斯拉在全球自动驾驶技术领域的进一步扩张。
跨境AI服务可能导致多种安全风险，包括国家安全风险、公平竞争风险与消费者隐私风险等。从AI服务域外监管经验看，欧盟将其价值观融入算法规制，以实现可信AI服务及安全监管；美国一方面对内加紧AI及算法的监管立法，另一方面对外实施AI技术出口管制，以防止技术竞争劣势诱发的安全风险。中国则正在经历从算法的部门割裂监管到总体统筹监管的进程，从而不断完善AI服务的安全监管。然而，中国当前相关法律监管实践和理论研究主要聚焦于纯粹的国内应用场景而缺少涉外视角的观察，关注具体应用领域如算法推荐、生成式AI安全等而缺少系统性的体系安排，难以回应跨境AI服务的安全监管需求。本文以跨境AI服务的安全风险为切入点，从回应性治理视角出发提出跨境AI服务安全监管措施，以促进跨境AI服务安全与发展、国内规制与国际法治的有机融合。
一、技术驱动下跨境AI服务的多元风险
（一）跨境AI服务的国家安全风险
在国家稳定层面，跨境AI服务可能导致国家安全风险。一是网络安全风险。如果一国过度依赖境外提供的AI服务，如云计算平台、数据存储、AI开发工具和算法等，一旦发生服务中断、非法控制或者地缘政治冲突，将会损害国家安全。具体来说，境外AI服务提供商在所属国的要求下可能通过合同条款或技术措施限制他国用户对特定功能或关键服务的使用和访问。在涉及信息基础设施如通信、金融和应急服务的后台支持时，这种限制不仅会影响到用户的生产、生活，还可能导致一国关键基础设施的瘫痪，引发危害国家安全的网络风险。二是公共安全与社会稳定风险。跨境AI服务自身可能对一国的公共安全和社会稳定带来一定风险。例如，用户使用境外AI服务时，由于AI算法的复杂性和不可知性，一国监管机构和用户难以预判AI生成内容的合规性与真实性，在服务用户数量庞大的情况下极易发生虚假信息、谣言和极端思想的传播，干预国内舆论，进而引发公众恐慌、社会动荡，甚至导致政治对抗和社会冲突。有研究指出，AI技术可自动化制造假新闻，并因其快速且广泛的传播能力以及深度伪造信息在虚假背景中模拟真实场景导致的迷惑性，堪称“误传的超级传播者”。
（二）算法驱动下的公平竞争风险
在市场秩序方面，跨境AI服务可能导致不公平竞争问题的发生。一是境外AI服务提供商的限制竞争行为。在跨境AI服务场景下，服务提供商可能在技术服务或许可合同中引入限制性商业条款，如限制服务接受方购买新技术、新设备或者开发新技术、新产品，从而扰乱公平竞争秩序。究其原因，AI服务具有典型的知识产品特征，在从无到有、从可用到好用的过程中往往需要耗费巨大的人力、物力和财力，但一旦对外许可使用就极易被竞争对手模仿、复现和掌握，损害境外AI服务提供商的技术领先优势以及经济利益。为了最大限度地维护技术上的垄断地位和竞争优势，境外AI服务提供商可能倾向于对服务接受方施加不合理的妨碍公平竞争的条款。例如，微软曾因与Windows操作系统捆绑其互联网浏览器的做法遭到投诉，称其抑制了其他浏览器的市场发展。二是服务接受企业的限制竞争行为。服务接受企业可能利用境外AI算法的隐蔽性及可预测性特征从事损害竞争行为。以AI算法在损害竞争行为中的不同作用为标准，可将限制竞争行为进一步分为共同行为与单独行为。在共同行为下，算法主要起到价格共谋的作用。在实践中，部分酒店被指控通过Cendyn Group提供的订阅软件程序协同定价，实施使用定价算法进行价格固定的垄断行为。在单独行为下，AI算法（如排名算法、个人化算法等）主要起到隐匿不正当竞争行为（如有针对性地掠夺客户、自我优待等）的作用，并常被数字平台类企业利用。例如，谷歌曾被指控利用算法操纵搜索结果权重，以达到排除竞争者、强化自身市场支配地位的目的。
（三）跨境AI服务的个人数字权益风险
在消费者权益保护层面，跨境AI服务可能加剧个人数字权益风险。个人数字权益是指个体在数字环境中所享有的权利，包括数据隐私、信息安全、知情权、选择权和被遗忘权等。境外AI服务的提供离不开个人数据的“喂养”，自然也就存在个人数字权益被侵害的风险。一是未经授权的数据收集，境外AI服务可能在用户不知情或未同意的情况下大量收集用户数据，如位置、搜索记录、购买历史等，并可能未明确告知用户所收集数据的具体用途，导致用户在数据使用上的知情权受到侵犯。例如，Clearview AI在未经用户同意的情况下抓取社交媒体及其他网站上的用户图像以进行面部识别，引发了广泛的隐私担忧。二是境外AI服务算法在训练数据中可能带有一定的偏见，从而导致其在决策过程中对某些群体造成不公平对待。例如，在决定额外的医疗护理资源分配时，用于健康风险评估的Optum算法未能准确反映黑人患者的实际健康需求，导致许多黑人患者未能得到及时或与实际健康需求相匹配的医疗服务。此外，AI系统的决策过程缺乏透明度，用户对其可能无法理解或挑战，从而对用户的公平权利构成影响。三是境外AI服务面临网络攻击风险，一旦发生数据泄露，用户的个人信息如网页搜索记录、网页停留时间、购物记录等个性化信息很可能被恶意使用，从而诱发针对性的电话营销、网络诈骗等侵害个人数字权益的违法行为。
二、跨境AI服务法律规制的局限
技术带来的破坏性创新与法律规制之间具有内在的紧张冲突，这突出表现为技术发展的前瞻性与法律实践的滞后性之间的矛盾。作为新兴技术发展的产物，跨境AI服务导致当前法律规制体系的有效性受到挑战。
（一）宏观层面：体系化规范缺失
从宏观层面看，中国跨境AI服务法律规制体系化明显不足。一是AI服务的规范概念仍不清晰。例如，《生成式人工智能服务管理暂行办法》将生成式AI服务界定为利用生成式AI技术向公众提供生成文本、图片、音频、视频等内容的服务；《互联网信息服务算法推荐管理规定》将“算法推荐技术”定义为利用个性化推荐类、检索过滤类、调度决策类等特定算法技术向用户提供信息；《个人信息保护法》将“自动化决策”定义为通过计算机程序自动分析、评估个人的经济、习惯、健康等状况并进行决策的活动。这些定义或是以技术定义服务，或是关于AI的具体用例，并未能反映出AI服务的本质特征。
二是规范的适用界限不清。除专门的AI法律法规之外，跨境AI服务的安全监管至少还涉及贸易法、数据法、特定行业部门规范等，但不同规范安全监管的侧重点并不相同，其间的适用关系并未被充分厘清。贸易部门分类是贸易法适用的前提，但AI服务毕竟不同于有形商品，也不同于传统的计算机服务及信息与通信技术服务，其核心价值在于提供智能化输出，包括预测、内容、建议和决策方案等，而非单纯或被动地作为底层技术工具，因此面临着服务部门分类的难题；此外，AI服务离不开数据处理活动，并可能深度嵌入特定行业部门（如金融业）的业务流程中，数据安全监管及特定行业监管对AI服务产生约束，但AI服务的安全监管更多关注语料安全、模型安全而区别于数据安全和特定行业安全监管，存在规范适用的困境。
三是规范的系统性不足。目前涉及AI服务安全监管的法律规范（如《生成式人工智能服务管理暂行办法》）并不能约束“判别式AI”“功能型AI”等类型。《互联网信息服务算法推荐管理规定》《关于加强互联网信息服务算法综合治理的指导意见》《个人信息保护法》等是在互联网信息服务和个人信息利用场景下对算法应用进行规制，并未对AI服务作出普遍适用的体系化规制。这既可能是因为AI服务应用的场景和风险主要集中在生成式服务和互联网信息服务领域，依据以风险为本的安全监管原则，没有必要对其进行普适性的规制；也可能是由于对风险认识不足，忽视了AI服务对安全的紧迫威胁。在AI已全面融入社会生活的背景下，碎片化的监管显然已无法从宏观和体系上对AI服务作出安全规制，并可能导致规制上的重复化以及包容性的欠缺。
（二）中观层面：准入监管机制缺失
从中观层面看，现有规范如《技术进出口管理条例》《对外贸易法》及行业部门监管规范在规制对象、范围等方面与跨境AI服务并不完全匹配，从而导致安全风险规控的缺位。
其一，《技术进出口管理条例》主要适用于通过贸易、投资或者经济合作的方式转移技术的行为，包括专利实施许可、技术服务和其他方式的技术转移，但无法完全涵盖跨境AI服务。首先，AI服务本质上是通过机器学习、逻辑和知识方法等技术提供影响其交互环境的输出，如内容、预测、建议或决策等，不同于专业转让或许可等情形。其次，传统技术服务主要包括咨询服务和工程服务两类，显然不包括AI服务。故《技术进出口管理条例》可部分适用于跨境AI服务安全监管，但难以全面发挥其规制作用。
其二，《对外贸易法》主要规范的是宏观的进出口秩序，针对的是具有明显价值导向的技术而可能难以适用于AI服务。AI本身并不具备明显的价值属性，只有与特定的应用场景相结合时才可能产生紧迫的风险或威胁。《对外贸易法》并不区分具体贸易部门，而是以风险为导向进行概括的禁止或限制贸易规定，尽管可以通过“准用性规则”引入《外商投资准入特别管理措施（负面清单）》《中国禁止出口限制出口技术目录》《中国禁止进口限制进口技术目录》，但仍未针对AI服务作出专门的准入规定。
其三，特定行业部门准入监管规范（如外资银行管理条例、外资医疗机构管理规范等）未能对各行业日益广泛应用的AI服务作出相应的规制。究其原因，实践中的跨境AI服务通常与主营业务紧密关联，一方面AI服务似乎并未创造新的剩余价值，更多地是促进、优化、辅助主营业务的开展；另一方面AI服务属于后台服务，比较隐蔽，难以被消费者感知。例如，在银行贷款业务方面，原则上借款人信用度越高，可以获得的贷款额度就越多。而传统信用评估主要依赖于借款人以往的贷款信息，导致贷款服务不能惠及长尾客户，而AI服务如大数据信用评估服务的引入，不仅大大扩展了可用于信用评价的信息范围，而且AI算法模型的应用也提高了信用评估的准确性，促进了跨境融资业务的开展。但从银行贷款与AI服务之间的关系看，AI服务从属于贷款业务，似乎没有必要对AI服务作出额外规制，但不同行业差异化的准入监管考量可能难以与AI服务的工具属性相匹配，监管工具也无法适应AI服务的风险特征。
（三）微观层面：规制工具缺漏
从微观层面看，现有规范如《互联网信息服务深度合成管理规定》《互联网信息服务算法推荐管理规定》《生成式人工智能服务暂行管理办法》等未能针对AI服务特征提供有效可行的安全规制工具。
首先，缺乏行之有效的技术规范约束。从技术规范与社会规范二分的视角，技术规范关注人与技术的关系，而社会规范（包括法律规范）则关注人与人的关系。在新技术不断融入现代社会生活各个领域的情景下，技术规范已经成为除社会规范外不可或缺的社会治理工具。但因受制于技术理解、思维惯性与共识困境，技术规范的规划、制定和修改往往滞后于技术发展，导致不能有效应对新技术所带来的社会风险。就跨境AI服务的规制而言，现有规范更多地属于社会规范中的法律规范，聚焦于AI服务开展过程中的权利义务分配及责任归结，却较少涉及AI开发、部署、应用等技术标准内容。例如，《互联网信息服务算法推荐管理规定》从原则上提出AI服务提供者应优化算法推荐服务机制，促进算法应用向上向善；从规则上提出AI服务提供者应当落实算法安全主体责任，包括算法机制机理审核、数据安全与个人信息保护、安全评估监测、安全事件应急处置等，以避免对个人、企业及社会利益造成损害。但基于算法推荐的技术底色和技术主导特征，一方面，AI服务责任的落实、义务履行与否及程度的判断均离不开安全技术标准的支撑；另一方面，安全技术标准的融入更有利于实现事前、事中等预防性监管。然而，就现有的技术规范覆盖范围看，只有个别行业和团体制定了技术标准，如《人工智能算法金融应用评价规范》《人工智能深度学习算法评估规范》，故仍存在明显的制度缺漏，难以充分发挥标准在人工智能规制中的作用。
其次，缺乏合比例的AI服务安全监管规则。AI作为一种方法或工具而存在，尽管不同类型的AI（如分析型AI、交互型AI、功能型AI等）在形式上都表现为计算机代码，但彼此之间的应用场景或适用性存在很大差异，AI服务的选择取决于具体的任务和数据特征。不同AI服务差异化的应用场景自然产生差异化的风险等级，因此应当给予“比例”安全监管。尽管现有规则已分别对深度合成技术、生成式AI技术和算法推荐技术实行有针对性的安全监管，并对提供特定服务内容如生成生物识别信息、提供具有舆论属性的互联网信息服务等的算法提出了安全评估、备案、审核等要求，但总体上这些针对特定AI服务的额外监管规则还处于较为分散的状态，尚未形成体系化的应用场景分类，或者导致特定场景下AI服务安全监管缺漏，或者导致AI服务安全监管的僵化，不利于AI服务安全与创新发展的协调。
最后，缺乏层次化的责任认定规则。AI设计、部署与应用可能由同一主体提供，也可能由不同的主体提供，但彼此之间联系紧密，共同构成AI服务项目。一旦AI服务造成损害性后果，就存在如何在不同主体间分配责任的问题。尽管由于技术垄断的影响，AI服务领域呈现出寡头竞争的趋势，超级平台往往通过提供综合或一站式的AI服务吸引更多用户，实现网络效应，以维持竞争优势和寡头地位，并在一定程度上避免了不同主体之间责任分配的难题，但AI设计、部署与应用在工具价值层面上并不相同，也需要差异化的安全义务规制，以准确认定AI服务提供者的责任。现有法律规范侧重于AI应用层面的规制，较少涉及AI开发与部署阶段的规制，可能会造成风险、义务与责任的失衡。
三、跨境AI服务安全监管的基本逻辑：回应性治理
跨境AI服务迭代快、链条长，数据泄露、算法歧视、模型滥用等风险呈“移动靶”形态，监管机关又受到法域分割与技术门槛的制约。回应性治理一方面强调以风险为本的“区别”与合作监管，对主观动机和客观风险威胁或损害给予从严格到宽松的差异化的监管措施，强调非政府组织规控作用的发挥，是技术风险社会治理的重要方法论；另一方面重点防止一次性过度预防进而抑制创新，并在风险升高时迅速收紧以守住公共安全底线，既可降低合规与跨法域冲突成本，又可保留威慑效力，同时给予各国监管以灵活性，有利于通过互认评估累积软法共识，为未来多边条约铺路，表现出对跨境AI安全监管的高度适配性与有效性。
（一）AI伦理作为回应性安全监管的逻辑起点
回应性治理以其灵活性、动态性和适应性等特征受到前沿科技领域治理的重视，但明确的治理目标或价值追求是回应性治理的前提和基准，以避免治理上的恣意性。AI伦理以AI后果的不可预测性和算法的价值负荷为理论前提，以对AI设计者、部署者和应用者提出道德与价值要求为实现进路，以期规制AI服务过程中可能的风险。从AI伦理和AI安全的关系来看，AI安全是AI伦理的应有之义，AI伦理是AI安全的重要价值目标，也是回应性治理下一切安全监管措施的根本目的和价值遵循，但AI伦理作为AI安全监管的目标仍需明晰以下问题。
其一，算法自身的价值属性。算法作为AI的大脑，AI服务安全监管的必要性根源于算法的可能风险。算法内嵌了价值取舍和风险偏好（如种族歧视、价格共谋等规则），其作为具体制度、历史和文化背景下的符号系统也诞生了“代码之治”“代码即法律”等认识，是对算法价值属性的直观回应。当前关于算法可规制性的争论，实质上并非要否认算法的价值属性，更多地是关于算法风险规制对象选择的问题，如若将算法应用作为主要风险来源，则法律规制只需强调对算法部署者的监管；若同时将算法自身也作为主要风险来源，则法律规制应在算法部署者之外强调对算法开发人员的监管。算法工具论者将算法作为单纯的行业工具，进而否定算法的价值属性，固然看到了算法与行业发展、创新之间的实质关系，却忽视了算法自身的风险特征及其风险传导机制，不利于对AI风险实施全流程治理。
其二，AI伦理的基本要求。AI伦理是“伦理”要求在AI服务领域的具体体现，是贯穿AI设计、开发、部署、应用等各环节的基本价值要求，已成为塑造安全可信AI的重要条件。如有学者提出，AI伦理就是严守非歧视性、用户非物质性、个人选择权的不可剥夺性的基本原则。也有学者认为，AI伦理是让AI以人为本，促进社会保障、社会共情和公共向善。美国计算机学习伦理领域的权威学者科恩斯则提出应当利用AI伦理重点解决隐私、公平、不可解释性等问题，并认为AI伦理的核心原则是AI人文主义，即AI利用应当维护人的尊严、以人为本、尊重人性。欧盟委员会于2019年发布《可信赖人工智能的伦理准则》，提出了尊重人的自主性、预防伤害、公平性和可解释性四项伦理准则，以构建可信赖AI全生命周期的框架。中国则于2021年出台《新一代人工智能伦理规范》，明确将增进人类福祉、尊重生命权利、坚持公平公正、合理控制风险、保持公开透明确立为科技伦理原则，以保障科技事业的健康发展。尽管上述表述存在一定的差异，并分别从AI伦理的本质、功能、关注点、规范要求等不同角度描述AI伦理的内容，但AI伦理作为对抗机器统治的工具，其基本要求在于人的自主性和基本权利的实现，并且在AI广泛应用于社会生产、生活各领域的背景下，以人为本的AI伦理的观照已经由点及面地从个人向社会和国家辐射，不仅关乎个人基本权利，而且关涉社会发展乃至于国家安全。
其三，AI伦理与安全监管的融合。AI伦理要求可以通过融入法律原则的方式进入安全监管规范，并至少应当在两个面向和三个层级发挥规制作用，以促进AI安全。在国内面向上，通过对境外输入的AI服务提出伦理要求以预防本国可能面临的个人、社会、国家风险；在国际面向上，通过对输出境外的AI服务提出伦理要求以切实履行国际义务。在个体层级上，AI伦理服务于维护自然人和法人的合法权益如信息权、隐私权、财产权等；在社会层级上，AI伦理服务于经济竞争秩序与社会稳定的维护；在国家层级上，AI伦理服务于国家安全的保障。
（二）包容性监管作为回应性安全监管的策略工具
包容性监管注重安全与发展、风险与效率、普遍监管与特殊对待之间的矛盾协调，这既是应对技术破坏性创新特征的必然需求，也是“相同但有区别”的回应性治理的要求。包容性监管涉及监管原则、对象、方法等的选择，在具体的监管策略选择上涵盖了对比例监管、实验性监管的采纳和应用。
首先，比例监管原则要求监管措施的制定和实施围绕着“风险”开展，即高风险AI匹配严格监管措施，低风险AI匹配宽松监管措施。可以看到，比例监管原则并非强调完全安全的监管，而是提倡以风险为基础的匹配监管，这自然离不开对风险的判断和识别问题。就AI安全监管中的比例原则而言，美国信息技术与创新基金会《不损害人工智能创新发展的十项监管原则》提出，监管应规范性能而不是流程、监管行业而不是技术、避免优待人类的偏见、精确定义AI、确保收益大于成本等；英国《建立有利于创新的人工智能监管方法》则要求支持创新和基于风险监管、确保监管的连贯性等。尽管不同国家在AI安全比例监管的具体表达和要求上还存在差异，但总体上体现了“区分AI风险等级及具体应用场景进行安全监管”的策略，构成包容性监管的前提。就跨境AI服务安全监管而言，坚持比例原则应优化现行法律规范，建立基于算法应用场景的灵活监管框架、原则和方法，形成通用规则、豁免规则与强化规则相配合的层次化监管制度体系。
其次，实验性监管要求监管措施的容忍或滞后介入，是包容性监管的重要手段。从本质上看，实验性监管是金融科技领域普遍提倡的“监管沙盒”在AI安全领域的体现，要求给予AI服务一定的容错空间，既给监管部门充分的时间接触AI服务实践，积累监管经验，又给AI服务企业充分探索算法技术及其应用的机会，是应对技术发展诱发的社会变革及其治理的较为成熟的做法。在实践中，欧盟《人工智能法案》已经将试验性监管纳入其中，挪威数据保护局落地了AI沙盒项目，服务提供商可以吸取经验教训以确保符合监管框架、用户权利和期待，监管机构除了可以积累监管经验外，还可以为其他AI解决方案提供商提供更具实用性的指导。跨境AI服务安全监管，可通过设置过渡期、沙盒的进入条件和退出条件等落实实验性监管的要求。
（三）合作监管作为回应性安全监管的组织保障
跨境AI服务具有技术复杂性特征，涉及AI、机器学习、自然语言处理等多种技术。尽管AI服务所描述的依然是人与人之间的关系，但算法自身的价值属性已将安全风险从应用端前移到设计端，大大扩展了安全义务的主体范围，导致传统的命令—控制式的监管模式难以有效发挥作用。具言之，命令—控制式的监管强调监管者作用的发挥，主要依托监管者开展自上而下的监管，在风险机制相对简单的传统社会场景下，监管者通过直接对行为人施加控制进而实现风险控制。但进入贝克所言的“风险社会”后，社会风险呈现出多发性、复杂性、多因性特征，单纯依靠政府部门监管至少带来两个必然要求：一是扩大政府的规模和权能，以应对需求和环境变化频繁的社会环境；二是或者仅能作出原则性规定，或者需要频繁制定或修改法律规范，以适应依法行政的要求。这很可能会加重政府的监管负担，形成过度监管和僵化监管，无法满足技术发展规律的内在要求，同时还有可能破坏规则的可执行性或稳定性，乃至破坏市场预期。
实际上，政府扩张与市场自治、规则的灵活性和稳定性的关系与界限始终是一个争议不断的话题，市场主义、凯恩斯主义、制度经济学已从经济学的角度进行了论辩及实践，在不同的市场环境下，最优策略往往在干预与自治、灵活与稳定两极之间徘徊。所以在风险社会大背景下，基于跨境AI服务技术复杂性与私人“技术权力”的特征，有计划地引入私主体监管是应对跨境AI服务安全风险的必然选择。在实践中，私主体已经参与到部分行业的监管中。例如，欧盟的GDPR和中国的《个人信息保护法》都引入了第三方市场认证机制，经授权的私主体如果认为个人信息出境符合中国法律规定，能够保障个人信息安全，个人信息就可以出境。又如，就AI安全而言，中国电子信息行业联合会正在组织《人工智能融合应用安全可信管理指南》团体标准的制定，以供从事AI相关技术研发、产品生产、融合应用、评估测试等工作的企业、科研机构、行业协会等单位组织应用。再如，AI行业头部企业商汤智能科技成立企业内部的AI伦理和治理委员会并开展自我监管。总之，第三方主体、行业组织甚至企业自身都已构成监管的重要力量。
但跨境AI服务安全的合作监管还需要在借鉴和反思现有合作监管的基础上厘清以下问题，以提高组织的灵活性和适应性。一是准确界分行业属性，锚定参与监管的私主体的范围，以兼顾AI的技术本质和行业工具属性。从服务内容划分，AI服务流程可以区分为前端和后端，前端聚焦于算法设计和开发，归类于计算机或信息技术，可依托信息技术行业组织凝聚行业共识；后端聚焦于AI部署和应用，可以出现在各个行业如金融、通信、医疗、新闻等，可依托各行业部门进行自律监管。二是划分监管权限。政府部门与各类私主体的关系并不是完全独立的，例如第三方主体也多是在政府监管部门的授权下代为履行部分监管职能，部分行业组织如中国电子信息行业联合会以及企业本身尽管与政府监管部门没有直接隶属关系，但其自律（我）监管也不能滥用监管权限，需要在政府部门监管规则允许的空间内进行。公主体与私主体之间存在监管侧重点的不同，公主体侧重于监管指引与监督，包括算法安全监管原则的确定以及权利义务的分配等，私主体侧重于规则的落实，包括内部治理、技术支持与参与标准建设等，既要发挥公主体在价值平衡和规则制定中的主导作用，又要充分利用私主体的专业优势、信息优势和人才优势。三是完善合作监管路径。在购买服务、采纳行业技术标准、吸纳私主体参与立法等传统合作方式的基础上，尤应强化合作激励机制以推动私主体的自我监管。当然，对符合一定标准如风险性质、用户数量等的系统重要性AI服务提供商，可以强制其建立内部合规机制，作为安全义务要求，但对其他AI服务提供者，可考虑构建全行业的合规豁免制度，将是否建立AI安全内控机制作为减轻其责任的重要考量因素。
四、跨境AI服务安全监管的制度完善
（一）对AI服务风险实施分类分级监管
对AI服务风险明确分类分级，是实现包容性监管的必然要求，更是构建安全规则的基础。借鉴《人工智能法案》对AI系统应用风险的划分，AI服务风险至少也可分为不可接受风险、高风险、有限风险和低风险四大类。在分类的标准上，应考虑AI的功能和应用的影响。
不同类型AI的功能和用途存在差异。有些应用风险因违反基本的法律价值观而应被绝对禁止。如根据人们的社会行为、经济地位、个人特征进行社会评分的AI服务，可能会产生不合理的社会歧视；用于在公共场所无差别的实时远程生物识别的AI服务，有可能导致非法监控问题；用于舆论或行为操纵的AI服务，可能严重损害个人基本权利、社会稳定和国家安全。有些AI应用风险属于“可容忍”的行业风险，尽管风险较高，极可能导致个人、组织、社会和国家利益的损害，但基于成本—收益、安全—发展等的价值平衡，此类风险符合社会认知和预期，应当有条件地允许和接纳。如在自然人生物识别和分类、关键基础设施的管理和运营、教育和职业培训、就业和员工管理、获得和享受基本公共服务及福利资格的评估、执法、移民、庇护和边境管制、司法程序和民主程序等领域，尽管由于AI算法缺陷、黑箱等的存在可能导致应用对象被不合理对待的风险，但由于安全监管与部门规范的约束，此类风险总体上尚处于可控状态，故应当允许部署。有些应用风险发生在人机交互过程中，使用AI服务的主体能够意识到AI的存在并可以自主作出决策，故其风险有限。如在自动驾驶中，驾驶员可以放弃自动驾驶算法规划的路线或驾驶策略；又如在证券交易中，客户可以自由选择不同的自动化交易AI服务，也可以不使用自动化交易AI服务。有些应用风险发生在算法使用过程中，如垃圾邮件过滤、自然语言处理等，即便出现算法错误或滥用，也不会导致无法挽回的严重损害，故其风险较低。在风险级别的确定上，可通过试验性监管、利益相关方咨询、专业知识的收集和使用、影响评估等多种方式积累监管经验，凝聚社会共识。在此基础上，可通过构建安全风险清单的方式明确不同AI服务的风险级别。
但AI服务的风险除来源于具体应用场景外，还来源于AI自身的缺陷或黑箱特征。从关系上看，AI的应用场景决定了风险的性质，AI的功能又决定了风险的程度。例如，自动驾驶的风险通常要高于垃圾邮件自动过滤，而自动驾驶能力的高低（如识别障碍物的能力）通常又决定了风险的高低。为此，应以具体应用场景为风险锚定的基点和标准，通过划定不同层级的风险的场景范围，确定针对AI服务不同的安全监管策略；通过AI服务安全风险的设计或开发诱因，确定针对AI设计和开发的安全监管策略。这构成了“以风险为本”监管的基本逻辑。
（二）完善境外AI服务安全准入规则
首先，须明确AI服务的贸易部门归属。借鉴经合组织、中国国家标准化管理委员会以及欧盟《人工智能法案》的定义，AI服务是指利用能够模拟、延伸或扩展人类智能的系统和技术，为用户提供自动化、智能化的解决方案或功能的服务，包括但不限于数据分析、预测、决策支持、自然语言处理、计算机视觉等，旨在提高效率、改善用户体验或解决复杂问题。从国际贸易部门的分类看，AI服务应被归类为专业商务服务而非基础的信息与通信技术服务，原因在于AI服务的核心价值在于为企业提供定制化的数据分析、预测和优化解决方案，以支持其业务决策和效率提升。在WTO体系下，中国对计算机及其相关服务作出了有限的准入承诺，即对软件实施服务包括系统和软件咨询服务、系统分析服务、编程服务、系统维护服务和数据处理服务中的输入准备服务要求服务者以合资企业的方式存在，对数据处理服务中的数据处理和制表服务、分时服务等则无限制。AI服务本质上可归属于数据处理服务，服务于数据分析和智能决策，中国应当承担AI服务准入开放的义务，但这并不妨碍采取合理、客观和公正的国内监管措施。
其次，将AI服务作为独立的准入监管对象。AI服务主要体现为信息服务，或者嵌入在特定行业部门的运转流程中，但在准入监管上有其独立的价值，以避免行业部门监管碎片化局限与监管不一致风险。为此，中国应对AI服务与特定行业部门实行区分监管，同时在AI服务通约性监管的基础上，在特定行业部门中纳入AI监管内容，针对特定行业部门的特殊风险对AI服务安全作出适应性的监管调整。
最后，完善安全准入条件。依据不同风险类别设定差异化的安全准入条件，原则上禁止存在不可接受风险的跨境AI服务，限制高风险的跨境AI服务，允许有限风险和低风险的跨境AI服务。在安全准入条件的设置上，一般应考虑将服务提供者的治理完备程度、风险应对能力、技术能力、信用状况、保证金或投保状况纳入准入的前置性要求。当然，此处的准入条件可以进一步细化为资本金要求、内部机构设置要求、特定的系统配置要求等，其具体规定还有待进一步总结监管实践经验进行完善。
（三）价值链下的安全责任主体识别及义务分配
1.责任主体识别。安全责任重大的主体应具有风险控制能力，而控制又以组织作用和功能为基础。AI服务生命周期大致可以分为设计、开发、部署、应用等几个阶段。AI设计和开发，即以问题为导向，提出AI解决方案，进行编程和调试工作并转化为可执行代码，故设计和开发环节直接决定了AI的“善恶”与“好坏”。AI部署和应用，即将开发好的AI集成到应用程序、服务或系统中，使其能够在生产、生活中应用运行，并提供给外部用户使用以解决特定的问题、执行特定的任务或辅助决策。以证券业为例，AI服务平台由券商进行维护和运营，不同算法提供商和模型提供商所提供的算法和模型以可插拔模块的形式嵌入到平台中，平台自动提供设置、监控、查看页面，适配客户柜台，客户自主选择使用。AI服务平台旨在解决证券客户的算法使用需求、算法供应商的算法接入需求、证券公司的算法运营和算法管控需求以及监管部门的监管审查需求等各关联方的多维度、多种类的使用管理需求。
由此可以看到，AI设计和开发所对应的是算法自身风险的控制，AI服务部署和应用所对应的是AI场景风险的控制。但需明确的是，设计、开发、部署和使用只是从AI整个生命周期中不同功能出发的大的分类，不同功能者之间有可能发生一定重叠。如AI整个生命周期中都可能涉及软件开发工程师、数据科学家、编程专家或行业专家，AI服务提供者可能同时也是设计者和开发者，或者处于后一流程中的主体可能对前一流程中的AI算法或模型进行了实质性的修改，进而同时被认定为从事了AI设计或开发行为。就AI服务安全而言，服务部署者（提供者）和使用者（用户）是当然的责任主体。AI设计、开发尽管不属于AI服务的内容，但直接影响到AI服务安全。且AI呈现出多样化、复杂化、智能化趋势，可以根据输入数据的变化和反馈的信息进行自动调整与改进，实现算法和模型的自主优化，而AI服务提供者和使用者通常难以对其全面了解及控制。为此，从“以风险为本”的监管和控制能力考量，AI服务的安全责任主体还应包括AI设计者和开发者。不过，基于“包容性监管”原则，对于设计和开发环节的安全监管应聚焦于“输出结果”“干预和保护措施”“用户赋予的权利”等方向性要求，而不应施加过多的程序性规控。
2.义务内容与责任分配。AI服务安全责任是一种整体责任，涵盖了AI整个生命周期的不同阶段和不同主体。依据不同责任主体的差异化作用，安全责任（义务）可进一步区分为技术责任（义务）与决策责任（义务）两类。
技术责任（义务）一般发生在设计、开发阶段，在AI的设计和开发过程中，技术人员应当注重伦理和社会价值的考量，遵守针对AI自身的安全要求。一是应保证AI的透明度，提高AI的可解释性和可预测性，包括采用可解释性的AI技术，提供算法解释工具、AI运行逻辑的说明等等。二是应保证AI的公平性，技术人员应选择多样性和平衡的训练数据，并广泛测试，监测并纠正AI模型在训练过程中可能出现的偏见和错误，避免不公平性的出现。三是应保证AI的准确性和稳健性，建立测试、验证、评估等质量管理体系。
决策责任（义务）一般发生在部署和使用阶段，主要体现为对AI应用场景的控制。一是保证AI的应用符合伦理准则和法律要求。不得将AI部署和应用于可能产生不可接受风险的场景，严格控制高风险应用，包容有限和低风险应用。二是对可能出现的AI应用风险和不当行为进行评估及管理。对于AI自身的风险，主要体现为有限审查义务，即从形式上审查AI的合规性，如AI服务使用方只需要确保AI具有安全合格标志、合规性声明等，而无须在实质上确保AI的安全性。对于场景风险，主要体现为风险防范义务和安全管理义务。对于部署者来说，应采取适当措施以确保AI服务的安全提供和合规使用：首先是确保应用系统安全，防止网络和应用安全漏洞；其次是事前安全符合性评估、事后风险监测，包括合规性自查、部署风险监测系统、采取纠正措施、配合监管部门开展工作；再次是采取透明度管理措施，包括履行信息披露义务，如AI服务提供者信息、使用说明、潜在风险提示等。对于使用者来说，主要是善意使用AI，不得用于非法目的。
依据控制力原则，AI生命周期不同阶段的责任主体或者承担技术安全责任（义务），或者承担决策安全责任（义务），或者两者兼有。一方面，不同责任主体之间的责任区隔应该是明确的，除非出现功能重叠，后一流程的责任主体不应对前一流程的行为承担责任。 另一方面，决策安全责任与技术责任并不是完全排斥的，而是可能同时出现于同一责任主体而呈现出谱系化的特征。在谱系的两端，AI设计与开发者更多承担的是技术责任，AI服务部署者和用户更多承担的是决策责任。在原则上，越靠近算法设计环节则更多承担技术责任，越靠近AI服务使用环节则更多承担决策责任。在安全义务的分配上，随着AI周期的推进，技术安全义务递减而决策安全义务相应递增。但在义务的实现上，离不开安全技术标准尺度功能的发挥，可考虑充分利用合作治理机制，借鉴美国国家标准与技术研究院在美国人工智能安全治理标准制定中的行业作用，推动行业协会、领先企业通过制定行业标准、企业标准细化补充国家标准。此外，为了促进AI创新，避免出现寡头垄断，可以通过监管沙盒对中小企业和初创企业进行适当的义务豁免。同时需要说明的是，此处的安全义务与责任只是针对AI服务的通用性要求，并不排斥对特定行业所作的进一步规制。
（四）安全评估及动态监测机制
安全评估以风险是否可控为评价对象，已经成为数据出境、互联网信息服务安全监管的重要手段，跨境AI服务安全监管可以借鉴适用。在评估的方式上，对于高风险AI服务应坚持事前评估和持续监督相结合、风险自评估与安全评估相结合。服务提供者在提供服务之前应当进行安全影响自评估，或者委托有资质的第三方机构评估，并提交监管机构予以审查。对于AI自身的风险，监管机构可以进一步要求设计和开发主体提供相关的技术文件、质量管理文件以及对设计和开发过程的详细描述等；对于AI场景风险，监管机构可以要求部署者提供关于AI服务系统的检测、运作和控制的详细资料，包括对风险管理系统的描述、对算法模型的任何改变的说明、使用的安全标准清单、对风险自评估的描述、系统生成的日志等；要求AI服务使用者说明算法用途、目标、范围等。在原则上，只要满足合规要求，就应当确认AI服务安全风险可控，但跨境AI服务还要额外考虑AI服务提供者所在国的政治法律环境，包括网络安全或算法安全方面的法律法规状况，监管部门的监督和执法能力，与中国的执法合作关系，等等。
在风险是否可控的认定上，可考虑采用定量的方式，建立以安全可控程度为因变量，以AI的复杂度、服务提供方的安全保障能力、服务提供方所在国政治和法律环境等为自变量的数学模型，以实现对安全风险的精准度量；在定量模型的构建上，可考虑从半定量的方式逐步过渡到完全的定量方式。原因在于完全定量的模型构建是建立在充分、全面的数据基础上的，但由于AI服务安全评估在中国仍处于摸索阶段，前期数据和经验均不完备，甚至在自变量和因变量的赋值上还存在理论上的欠缺，为此完全的定量化可能存在困难及不足。通过半定量化的方式积累经验和数据，既可以为完全的定量化审查作准备，又可以在当前阶段实现较为客观化的数据出境审查机制。在半定量化的模型中，对自变量赋值上可考虑将AI的复杂度与AI服务安全保障能力划分为高、中、低三个层次，相应组合后确定发生风险的可能性等级为五级以上、四、三、二、一级等，将AI服务提供者所在国的政治法律环境进一步区分为好、中、不好三类；然后将安全事件发生的可能性通过列联表表示，确定具有极高和高安全风险级别的特定区域作为禁止AI服务跨境提供的情形。
此外，跨境AI服务安全监管要求的落实离不开监督措施的适应性，其技术风险的本质特征决定了传统的以“人力”为基础的监督手段难以胜任动态监控和精准追责，监管科技的引入和应用自然成为跨境AI服务安全监管的必然选择。在部署方式上，可以将监管科技嵌入AI服务平台，实现实时的安全监控和动态反馈，快速识别安全风险并进行预判式的监管。嵌入式意味着监管本身的代码化和自动化，构成AI服务平台的一个功能模块。例如，在AI服务平台构建监督管理模块，实现用户风险管理、算法评估、风控规则设定和实时监测等功能，一旦发现AI服务违反安全规则，可自动实施网络限制、流量控制、服务功能屏蔽等AI服务阻断措施，确保AI服务合法合规、可追溯和可审计。在风险发生之后，监管部门可以通过追溯和查询服务评价记录、用户操作信息、AI决策流程等平台痕迹信息，实现精准追责。
结语
跨境AI服务推动全球经济向智能化发展，但也存在着一定的安全风险，可能损害国家安全、社会公共利益和个人合法权益。AI服务具有技术复杂性、场景多元性和跨境性等特征，对安全监管带来了挑战。现行监管规则侧重于部门法监管，导致AI服务安全规制的体系性缺失。为此，应以回应性监管为逻辑起点，AI服务安全监管应该是横向的、包容的和民主的，应致力于构建以AI伦理为基础的安全原则、以层级性为特征的义务与责任体系、以有效性为基础的安全监管机制。限于篇幅，本文仅对跨境AI服务安全监管框架作了初步探索，其他诸如AI服务监管与行业特殊监管的关系、跨境AI服务国内监管与国际监管的互动、跨境AI服务安全标准体系的细化构建等问题，有待实践发展和进一步的理论研究予以回应。
